ikpn

ConsuLtatie van het voorontwerp voor de

RegeLs ter implementatie van richtlijn (EU) 2016/1148 (Cy
bersecu ritywet)
Reactie van KPN

KPN
Contactpersoon:
Postbus 30 000
2500 GA Den Haag

Kenmerk: RG/17/U/004

12 juLi 2017

InLeiding en samenvatting
Cybersecunty is en blijft een grote uitdaging voor NederLand. ELke dag zijn er incidenten
met hacks, spionage en (maatschappeLijke) schade door cybercrimina[iteit. KPN zet zich
daarom ten volle in om onze diensten, producten en interne ICT te beschermen tegen
cyberdreigingen.
De ontwikkelingen in het cyberdomein vragen om goede en reaListische wetgeving om
ondernemingen en vitaLe infrastructuren in Nederland te beschermen en grote schade
door cybersecurityincidenten te voorkomen. KPN juicht het daarom toe dat de Europese
Unie en de nationale overheid hier steeds meer aandacht voor hebben. De voorLiggende
impLementatie van richtlijn (EU) 2016/1148 (de ‘NIB-richtLijn’) in de voorgestelde Cyberse
curitywet is daar een voorbeeld van. KPN heeft op deze impLementatie enkeLe op- en
aanmerkingen die onderstaand zijn vertaald in concrete suggesties en verderop nader
worden toegelicht.
Suggesties KPN:
-

-

-

-

-

Gebruik dezeLfde terminologie als in de NIB-richt[ijn voor ondernemingen die
openbare communicatienetwerken of openbare elektronische communicatiedien
sten aanbieden. Dit is nodig omdat de NIB-richt[ijn deze ondernemingen expliciet
uitzondert vanwege reeds bestaande Europese wetgeving, terwijl het vooront
werp door het gebruik van andere terminologie hier niet geheel duideLijk over is;
Maak duideLijk welke gevolgen het overhevelen van de Wet gegevensverwerking
en me[dpLicht cybersecurity naar de ontwerp Cybersecuritywet heeft voor aanbie
ders die door de NIB-richtLijn expliciet worden uitgezonderd;
Hard- en softwarefabrikanten hebben een cruciale rol in de cybersecurityketen,
terwijL er op dit moment niet voldoende waarborgen zijn voor de kwaLiteit en vei
ligheid van hun producten. Hier is passende (Europese) wet- en regelgeving voor
nodig, zodat kwetsbaarheden die een vei[igheidsrisico vormen worden gemeld en
gerepareerd;
Zorg ervoor dat relevantie informatie over incidenten ook bij vitaLe aanbieders te
recht komt, zodat zij mitigerende maatregeLen kunnen nemen tegen vergelijkbare
incidenten;
Gebruik een eenduidige definitie voor ‘inbreuken’ en ‘incidenten’ of Leg uit waar
in een inbreuk zich onderscheidt van een incident.

DuideLijkheid nodig over positie telecomaanbieders in de Cybersecuritywet
Uit de NIB-richtlijn blijkt in overweging 7 dat “verplichtingen van aanbieders van essen
tiële diensten en digitaLedienstverleners niet van toepassing [dienen] te zijn op onder
nemingen die openbare communicatienetwerken of openbare elektronische communica
tiediensten in de zin van Richtlijn 2002/21/EG (KaderrichtLijn) aanbieden, welke onder
worpen zijn aan de in die nchtLijn specifieke veiLigheids- en integriteitseisen, nog op ver
Leners van vertrouwensdiensten in de zin van Verordening (EU) nr. 910/2014, dien on
derworpen zijn aan de in die verordening vastgesteLde veiligheidseisen.”
In de Memorie van ToeLichting (MvT) van het voorontwerp is opgenomen dat “de richt
Lijn niet van toepassing [is] op elektronische communicatienetwerken en —diensten (te
Lecomsector) en ver[eners van elektronische vertrouwensdiensten (zoaLs een certificaat
voor een elektronische handtekening), omdat voor die sectoren al vergelijkbare EU
regels gelden”. De MvT hanteert hiermee een iets andere bewoording dan de NIB
nchtLijn (nameLijk “elektronische communicatienetwerken en —diensten (te[ecomsec
tor)” en niet “ondernemingen die openbare communicatienetwerken of openbare elek
tronische communicatiecliensten in de zin van Richtlijn 2002/21/EG (KaderrichtLijn) aan
bieden”.
-

-

Hiermee Lijkt hetzeLfde doel te worden beoogd, name[ijk dat de NIB-richttijn (en dus ook
de Nederlandse wet waarin de NIB-richtlijn wordt omgezet) niet moet gelden voor on
dernemingen die openbare communicatienetwerken of openbare elektronische commu
nicatiediensten aanbieden. Het is aan te raden mede in verband met de afbakening
tussen dit wetsvoorstel en de regels van de Te[ecommunicatiewet de terminologie van
de richtlijn aan te houden.
—

—

Het is daarbij onduidelijk hoe het overhevelen van de Wet gegevensverwerking en meLdplicht cybersecurity naar de voorliggende conceptwetgeving zich verhoudt tot het uit
zonderen van ondernemingen die openbare communicatienetwerken of openbare elek
tronische communicatiediensten aanbieden. In het eerder geconsu[teerde Besluit meLdplicht cybersecurity zijn eLektronische communicatienetwerken of —diensten expliciet
toegevoegd aan de Lijst van vitale aanbieders en producten en diensten waarop de Wet
gegevensverwerking en meLdp[icht cybersecurity van toepassing op is.’ In de MvT wordt
hier niet nader op ingegaan. Aan te raden is om duidelijkheid te geven over de gevolgen
van de overheveling van de Wet gegevensverwerking en meldpLicht cybersecurity voor
ondernemingen die openbare communicatienetwerken of openbare communicatiedien
sten aanbieden.
AansprakeLijkheid van hard- en softwarefabrikanten
Kwetsbaarheden in hard- en software kunnen effect hebben op de veiligheid van net
werk- en informatiesystemen van digitaledienstver[eners en vitale aanbieders. Veel be
kende en minder bekende cybersecurityincidenten hebben een dergelijke kwetsbaarheid
ten grondslag.
De fabrikanten van hard- en software zijn vaak wereldwijde spelers die hun eigen patch
en updatebeteid bepalen. Digitaledienstver[eners en vitale aanbieders zijn van deze pat
KPN heeft uitgebreid gereageerd op de consultatie Besluit meldplicht cybersecurity:
https://www.internetconsultatie.nl/besluftmeld plichtcyber/reactie/52aaa917-6365-4134-9c15-6db1d22519b0

ches en updates afhankelijk om hun ICT-infrastructuur te beveiLigen. De praktijk leert
echter dat hard- en softwarefabrikanten niet altijd even snel met een oplossing voor
kwetsbaarheden komen waardoor hard- en/of software mogelijk kwetsbaar zijn voor
cybersecurityincidenten. Deze afhankeLijkheid van genoemde fabrikanten beperkt daarbij
de mogeLijkheden om passende en evenredige maatregeLen te nemen om de risico’s voor
de beveiLiging van netwerk- en informatiesystemen te beheersen, zoals de conceptwet in
artikel 7 verpLicht stelt. Dit komt de beveiliging van genoemde infrastructuren niet ten
goede.
Er bestaat geen honderd procent bescherming tegen cybersecurityincidenten, maar op
timale veiligheid kan alleen worden bereikt wanneer in de gehele keten van fabrikant
tot eindgebruiker voldoende (wetteLijke) veiligheidsmaatregeLen worden genomen. In
deze keten zijn digita[ediensten[everanciers en vitaLe aanbieders belangrijk, maar evident
niet de enigen, terwijL het zwaartepunt van cybersecurityreguLering bij deze Leveranciers
wordt neergelegd. KPN begrijpt de complexiteit om passende regu[ering te maken voor
hard- en softwarefabnkanten. Toch is het te betreuren dat er in de NIB-richtlijn geen na
dere maatregelen zijn genomen om de verantwoordelijkheid van hard- en softwarefabri
kant voor het leveren van degeLijke producten en het onderhouden van hun producten te
vergroten.
—

—

KPN pleit daarom voor een grotere verantwoordelijkheid voor fabrikanten van hard- en
software voor de kwaLiteit en veiligheid van hun producten. De ruimte die de NIB-richtLijn
in overweging 58 geeft kan worden benut door hier passende nationale wet- en regelge
ving voor te maken, bijvoorbeeLd als onderdeel van de Cybersecuritywet. Een me[dpLicht
is nodig om te zorgen dat kwetsbaarheden in hard- en software worden gemeld en
waarmee deze fabrikanten zo nodig kunnen worden gedwongen om zo spoedig moge
lijk kwetsbaarheden die een vei[igheidsrisico vormen te repareren. Gezien de compLexi
teit en de schaaL is voor dit onderwerp Europese wetgeving nodig, KPN roept daarom op
om dit onderwerp zo spoedig mogelijk Europees te agenderen.
DeLen van informatie en eenduidige definitie voor inbreuken en incidenten
Cybersecurityincidenten bij een digita[edienstver[ener of vitale aanbieder zijn soms on
derdeel van een grotere aanvaL of hebben het risico dat zij overslaan naar andere aan
bieders. Het is daarom van belang dat reLevante informatie over een incident, gemeLd
zoaLs omschreven in hoofdstukken drie en vier, wordt gedeeld met in ieder gevaL vitale
aanbieders, waaronder degenen die openbare communicatienetwerken of openbare
eLektronische communicatiediensten aanbieden. Dit is nodig om te zorgen dat deze par
tijen bij een breder incident mitigerende maatregelen kunnen nemen wanneer dat nodig
is. Op deze manier wordt zorggedragen dat vitaLe aanbieders niet worden verrast terwijl
reLevante informatie om een dergelijk incident te voorkomen al beschikbaar was, zo
wordt voorkomen dat deze aanbieders geraakt worden door incidenten. In het geval van
vitale aanbieders bevordert dit de nationale veiligheid.
Inbreuken en incidenten
In artikeL 10 wordt onder 1 b gesproken over een inbreuk op de beveiliging van netwerken informatiesystemen die aanzienLijke gevolgen kan hebben voor de continuïteit van de
door hem verleende dienst. Dit is de enige plek in de conceptwet waar wordt gesproken

over ‘inbreuken’, andere artike[en spreken over ‘incidenten’. Ook de NIB-richt[ijn spreekt
enke[ over ‘incidenten’.
Het wordt echter niet toegeLicht of er sprake is van een verschi[ in definities en of het zo
kan zijn dat bij de beveiLiging van netwerk- en informatiesystemen een incident kan
pLaatsvinden, terwijl er geen sprake is van een inbreuk. Om te voorkomen dat dit ver
schi[[end wordt uitgeLegd is het aan te raden om een eenduidige definitie te gebruiken
voor incidenten en inbreuken of om nader toe te Lichten waarin een inbreuk zich precies
onderscheidt van een incident.